Sophos Enterprise Console Guida all'impostazione dei criteri

45 Pages·2017·0.23 MB·Italian

Sophos Enterprise Console
Guida all'impostazione dei
criteri
Versione prodotto: 5.5
Sommario
1 Informazioni sulla guida......................................................................................................4
2 Consigli generali sui criteri.................................................................................................5
3 Impostazione di un criterio di aggiornamento....................................................................6
4 Impostazione dei criteri antivirus e HIPS...........................................................................8
4.1 Impostazioni consigliate.......................................................................................8
4.2 Distribuzione di un criterio antivirus e HIPS.........................................................8
5 Impostazione dei criteri del firewall..................................................................................11
5.1 Criterio del firewall..............................................................................................11
5.2 Pianificazione dei criteri firewall..........................................................................11
5.3 Impostazioni consigliate.....................................................................................12
5.4 Configurazione del firewall per percorso doppio.................................................13
5.5 Implementazione di un criterio firewall...............................................................14
6 Impostazione dei criteri del controllo applicazioni............................................................16
6.1 Impostazioni consigliate.....................................................................................16
6.2 Distribuzione di un criterio del controllo applicazioni..........................................16
7 Impostazione dei criteri del controllo dati.........................................................................18
7.1 Definizione del criterio del controllo dati.............................................................18
7.2 Impostazioni consigliate.....................................................................................18
7.3 Distribuzione di un criterio del controllo dati.......................................................20
7.4 Comprensione della scansione del controllo dati all'interno delle
applicazioni...........................................................................................................21
8 Impostazione dei criteri del controllo dispositivi...............................................................23
8.1 Impostazioni consigliate.....................................................................................23
8.2 Distribuzione di un criterio del controllo dispositivi.............................................24
9 Configurazione dei criteri del blocco rimozione................................................................25
9.1 Criterio del blocco rimozione..............................................................................25
9.2 Distribuzione di un criterio del blocco rimozione................................................25
10 Configurazione dei criteri patch......................................................................................26
10.1 Criterio patch....................................................................................................26
10.2 Implementazione di un criterio patch................................................................26
11 Impostazione dei criteri per il controllo web...................................................................28
11.1 Impostazioni consigliate...................................................................................28
11.2 Distribuzione di un criterio del controllo web....................................................29
12 Impostazione di criteri di prevenzione degli exploit........................................................31
12.1 Impostazioni consigliate...................................................................................31
2
12.2 Implementazione di un criterio di prevenzione degli exploit.............................31
13 Consigli sulla scansione.................................................................................................33
14 Utilizzo della scansione in accesso................................................................................34
15 Utilizzo della scansione pianificata.................................................................................35
16 Utilizzo della scansione su richiesta...............................................................................36
17 Esclusione di oggetti dalla scansione.............................................................................37
18 Supporto tecnico............................................................................................................38
19 Note legali......................................................................................................................39
3
Sophos Enterprise Console
1 Informazioni sulla guida
Questa guida descrive le linee guida per l'impostazione dei criteri dei software Sophos
Enterprise Console e Sophos Endpoint Security and Control.
Nota: Se non incluse nella licenza, alcune funzioni potrebbero non essere disponibili.
Nello specifico, fornisce consigli per aiutare gli utenti a:
■ Comprendere le raccomandazioni relative ai criteri.
■ Impostare e distribuire tutti i criteri in base al tipo.
■ Utilizzare le opzioni di scansione per scoprire oggetti.
■ Stabilire quali oggetti escludere dalla scansione.
Questa guida sarà utile se:
■ Si utilizza Enterprise Console.
■ Si desiderano consigli sulle migliori opzioni relative all'impostazione e alla distribuzione
dei criteri.
Prima di consultare questa guida, leggere la guida di avvio rapido di Sophos Enterprise
Console.
La documentazione completa di Enterprise Console è reperibile al link
http://www.sophos.com/it-it/support/documentation/enterprise-console.aspx.
4
Guida all'impostazione dei criteri
2 Consigli generali sui criteri
Dopo l'installazione di Enterprise Console, vengono automaticamente creati criteri predefiniti.
Tali criteri vengono applicati a tutti i gruppi creati dall'utente. I criteri predefiniti sono studiati
per fornire livelli di protezione efficaci. Se si desidera utilizzare funzioni quali controllo
dell'accesso alla rete, patch, controllo applicazioni dispositivi, dati o blocco rimozione, è
necessario creare nuovi criteri o modificare quelli predefiniti. Quando si impostano criteri,
tenere presente quanto riportato di seguito:
■ Se possibile, utilizzare impostazioni predefinite all'interno del criterio.
■ Tenere presente il ruolo del computer quando si modificano le impostazioni dei criteri
predefiniti o se ne creano di nuovi (per es. desktop o server).
■ Utilizzare Enterprise Console per tutte le impostazioni dei criteri centrali e, ove possibile,
impostare le opzioni in Enterprise Console, piuttosto che sul computer.
■ Impostare le opzioni direttamente nel computer solo se richiesta una configurazione
temporanea di quel determinato computer o per elementi che non possono essere
configurati centralmente, quali le opzioni di scansione avanzate.
■ Per i computer che richiedono una configurazione speciale a lungo termine, creare gruppo
e criteri a parte.
5
Sophos Enterprise Console
3 Impostazione di un criterio di
aggiornamento
Il criterio di aggiornamento indica in che modo i computer ricevono le definizioni delle nuove
minacce e si aggiornano dal software Sophos. La sottoscrizione a un software specifica quali
versioni del software del computer vengono scaricate da Sophos per ciascuna piattaforma.
Il criterio di aggiornamento predefinito consente di installare e aggiornare il software specificato
nella sottoscrizione "consigliata". Quando si imposta il criterio di aggiornamento, prendere in
considerazione quanto riportato di seguito:
■ Si dovrebbero sottoscrivere le versioni "consigliate" del software per essere sicuri che
venga aggiornato automaticamente. Se invece si desidera analizzare le nuove versioni
del software prima di distribuirle nella rete principale, si consiglia l'utilizzo delle versioni
fisse del software nella rete principale durante il processo di analisi delle nuove versioni.
Le versioni fisse vengono aggiornate mensilmente con i nuovi dati relativi al rilevamento
delle minacce, ma non con la versione più recente del software.
■ Assicurarsi che il numero di gruppi che utilizzano lo stesso criterio di aggiornamento sia
gestibile. Non si dovrebbero avere più di 1000 computer che si aggiornano dal medesimo
percorso. Il numero ottimale di computer che si aggiornano dalla stessa posizione è
600-700.
Nota: il numero di computer che possono effettuare l'aggiornamento dalla stessa directory
dipende dal server sul quale si trova tale directory e dalla connettività di rete.
■ Per impostazione predefinita, i computer si aggiornano da un unico percorso primario.
Tuttavia, si consiglia di impostare sempre e comunque un percorso secondario alternativo
per gli aggiornamenti. Se i computer endpoint non riescono a contattare il proprio percorso
primario, cercheranno di aggiornarsi da quello secondario, se ne è stato impostato uno.
Per ulteriori informazioni, consultare la Guida in linea di Sophos Enterprise Console,
sezione Aggiornamento computer > Configurazione criterio di aggiornamento.
■ La ricerca automatica di un percorso va consentita in un criterio per utenti dotati di laptop
che navigano frequentemente o internazionalmente all'interno di un'organizzazione Quando
è abilitata questa opzione, i laptop in roaming cercheranno di trovare e di aggiornarsi dal
percorso più vicino, tramite richiesta ad altri computer endpoint fissi nella stessa rete locale
a cui sono connessi, minimizzando i ritardi di aggiornamento e i costi legati alla larghezza
di banda. Se vengono restituiti percorsi multipli, il laptop determina quale sia quello più
prossimo e lo utilizza. Se nessuno di essi funziona, il laptop utilizzerà il percorso primario
(e successivamente quello secondario) indicato nei suoi criteri di aggiornamento.
La ricerca automatica del percorso funziona solo se sia i laptop in roaming sia gli endpoint
fissi sono gestiti dalla stessa istanza di Enterprise Console e utilizzano la medesima
sottoscrizione al software. Gli eventuali firewall di terze parti devono essere configurati
per consentire query e risposte relative al percorso degli aggiornamenti. La porta utilizzata
per impostazione predefinita è la 51235, ma è possibile cambiarla.
Per ulteriori informazioni, consultare la Guida in linea di Sophos Enterprise Console,
sezione Aggiornamento computer > Configurazione criterio di aggiornamento >
Configurazione dei percorsi del server per gli aggiornamenti. Per le domande più frequenti
relative alla ricerca automatica di un percorso, leggere l'articolo 112830 della knowledge
base del supporto tecnico Sophos
(http://www.sophos.com/it-it/support/knowledgebase/112830.aspx).
6
Guida all'impostazione dei criteri
■ Se preoccupati per il rendimento dei computer a basse specificazioni, è possibile
sottoscrivere una versione fissa del software e cambiare manualmente tale sottoscrizione
quando pronti ad aggiornare il software di tali computer. Questa opzione garantirà che i
computer siano aggiornati con i dati di rilevamento delle minacce più recenti. In alternativa,
è possibile effettuare aggiornamenti per i computer a bassa specificazione in maniera
meno frequente (ad esempio due o tre volte al giorno), oppure considerare l'eventualità
di eseguire gli aggiornamenti ad orari prestabiliti diversi da quelli tipici di utilizzo degli utenti
(come ad esempio di sera o durante il fine settimana).
Attenzione: ricordare che ridurre al minimo gli aggiornamenti aumenta i rischi per la
sicurezza.
7
Sophos Enterprise Console
4 Impostazione dei criteri antivirus e HIPS
4.1 Impostazioni consigliate
Il criterio antivirus e HIPS stabilisce la modalità in cui il software di sicurezza effettua la
scansione dei computer alla ricerca di virus, trojan, worm, spyware, adware, applicazioni
potenzialmente indesiderate (PUA), comportamenti e file sospetti e come li rimuove. Quando
si imposta il criterio antivirus e HIPS, prendere in considerazione quanto riportato di seguito:
■ Il criterio predefinito antivirus e HIPS proteggerà i computer da virus e altro malware. È
possibile comunque creare nuovi criteri o modificare quelli predefiniti per consentire il
rilevamento di altre applicazioni o comportamenti indesiderati.
■ Per sfruttare appieno la funzionalità Sophos Live Protection, attivata per impostazione
predefinita, si consiglia di selezionare anche l'opzione Invia automaticamente file
campione a Sophos.
■ Abilitare il rilevamento del traffico malevolo, che consente di rilevare le comunicazioni fra
computer endpoint e server command and control coinvolti in attacchi botnet o di altro
malware. L'opzione Rileva traffico malevolo è abilitata per impostazione predefinita nelle
nuove installazioni di Enterprise Console versione 5.3 o successive. Se si è effettuato
l'upgrade da una versione precedente di Enterprise Console, sarà necessario abilitare
questa opzione per poter usufruire di tale funzionalità.
Nota: Il rilevamento del traffico malevolo è al momento supportato da sistemi operativi
non-server Windows 7 e successivi. Richiede Sophos Live Protection.
■ Utilizzare l'opzione Notifica solamente per rilevare solo il comportamento sospetto. Se
inizialmente si definisce il criterio report only, ciò consente di avere migliore consapevolezza
dell'utilizzo in rete del comportamento sospetto. Questa opzione è abilitata per impostazione
predefinita e deve essere deselezionata una volta completata la distribuzione del criterio
per bloccare programmi e file.
Per ulteriori informazioni, consultare l'articolo 114345 della knowledge base del supporto
tecnico Sophos (http://www.sophos.com/it-it/support/knowledgebase/114345.aspx).
4.2 Distribuzione di un criterio antivirus e HIPS
Si consiglia di distribuire il criterio antivirus e HIPS nel modo seguente:
1. Creare criteri diversi per gruppi diversi.
2. Opzioni di Sophos Live Protection Questa funzione utilizza il sistema di ricerca online
Sophos per decidere all'istante se un file sospetto rappresenta una minaccia e per
8
Guida all'impostazione dei criteri
aggiornare il vostro software Sophos in tempo reale. Sophos Live Protection è richiesta
dalle funzionalità di Rilevamento del traffico malevolo e Reputazione del download.
■ Verificare che le opzioni Abilita Live Protection per la scansione in accesso e Abilita
Live Protection per la scansione su richiesta siano selezionate. Se la scansione
antivirus su un computer ha identificato un file come sospetto, ma non riesce poi a
determinare se sia pulito o malevolo, in base ai file di identità delle minacce (IDE)
memorizzati nel computer, alcune caratteristiche del file (come il checksum e altri
attributi) vengono inviati a Sophos per un'ulteriore analisi. Il servizio di ricerca online
Sophos esegue la ricerca istantanea di un file sospetto nel database di SophosLabs.
Se il file viene identificato come pulito o malevolo, la decisione viene inviata al computer
e lo stato del file viene automaticamente aggiornato.
■ Selezionare l'opzione Invio automatico di file campione a Sophos. Se un file viene
considerato potenzialmente malevolo, ma non può essere identificato con certezza
come malevolo solo in base alle caratteristiche del file, Sophos Live Protection consente
a Sophos di richiedere un campione del file. Quando è abilitata Live Protection, se
l'opzione Invia automaticamente file campione a Sophos è attiva e Sophos non
detiene ancora un campione del file, l’invio del file avverrà in maniera automatica. L'invio
di tali campioni permette a Sophos di migliorare continuamente il rilevamento del
malware senza il rischio di falsi positivi.
Importante: Occorre assicurarsi che il dominio Sophos a cui i dati del file vengono inviati
sia considerato fidato nella vostra soluzione di filtraggio web. Per informazioni, consultare
l'articolo della knowledge base 62637
(http://www.sophos.com/it-it/support/knowledgebase/62637.aspx). Se si utilizza una
soluzione di filtraggio web Sophos, come la Web Appliance WS1000, non c'è bisogno di
fare nulla. I domini Sophos sono già considerati fidati.
3. Rilevare virus e spyware.
a) Assicurarsi che la scansione in accesso sia abilitata o pianificare una scansione di tutto
il sistema per il rilevamento di virus e spyware. La scansione in accesso è abilitata per
impostazione predefinita. Per ulteriori informazioni, vedere Utilizzo della scansione in
accesso a pagina 34 o Utilizzo della scansione pianificata a pagina 35.
b) Selezionare le opzioni di disinfezione per virus/spyware.
4. Rilevare file sospetti.
I file sospetti hanno determinate caratteristiche comuni al malware, ma tali caratteristiche
non sono sufficienti perché tali file possano essere identificati come nuovo malware.
a) Abilitare la scansione in accesso o pianificare una scansione completa del sistema per
rilevare file sospetti.
b) Selezionare l'opzione File sospetti nelle impostazioni di scansione.
c) Selezionare l'opzione di disinfezione per i file sospetti.
d) Se del caso, autorizzare tutti i file di cui è consentito l'utilizzo.
5. Rilevare comportamenti malevoli e sospetti, buffer overflow, oltre che traffico malevolo
(monitoraggio del comportamento).
9
Sophos Enterprise Console
Queste opzioni monitorano costantemente i processi in esecuzione per stabilire se un
determinato programma abbia comportamenti malevoli o sospetti. Sono utili per bloccare
eventuali falle alla sicurezza.
a) Accertarsi che il monitoraggio del comportamento sia abilitato per la scansione in
accesso. Dovrebbe essere abilitato per impostazione predefinita.
b) Verificare che l'opzione Rilevamento di traffico malevolo sia selezionata.
c) Utilizzare l'opzione Avvisa solamente solo per rilevare comportamenti sospetti e buffer
overflow. Questa opzione è abilitata per impostazione predefinita.
d) Autorizzare tutti i programmi o file che si desidera continuare ad eseguire anche in
futuro.
e) Configurare il criterio in modo da bloccare i programmi e file rilevati eliminando l'opzione
Avvisa solamente.
Questo approccio evita il blocco dei programmi e dei file di cui gli utenti potrebbero aver
bisogno. Per ulteriori informazioni, consultare l'articolo 50160 della knowledge base di
Sophos (http://www.sophos.com/it-it/support/knowledgebase/50160.aspx).
6. Rilevare adware e PUA.
Quando si esegue la scansione alla ricerca di adware e PUA per la prima volta, si possono
generare molti allarmi relativi ad applicazioni già in esecuzione nella rete. Eseguendo per
prima cosa una scansione pianificata, è possibile gestire in sicurezza le applicazioni già
in esecuzione nella rete.
a) Pianificare una scansione di tutto il sistema per rilevare tutti gli adware e PUA.
b) Autorizzare o disinstallare tutte le applicazioni rilevate dalla scansione.
c) Selezionare l'opzione scansione in accesso di Adware e PUA per rilevare adware
e PUA in futuro.
Per ulteriori informazioni, consultare l'articolo 13815 della knowledge base di Sophos
(http://www.sophos.com/it-it/support/knowledgebase/13815.aspx).
7. Rilevare minacce nelle pagine web.
Questa opzione blocca i siti web noti per ospitare contenuti malevoli, esegue la scansione
dei download alla ricerca di contenuti malevoli.
a) Assicurarsi che l'opzione Blocca l'accesso ai siti web malevoli sia impostata su On,
per assicurarsi che i siti web malevoli vengano bloccati. Questa opzione è attiva per
impostazione predefinita.
b) Impostare l'opzione Scansione dei contenuti su Attiva o Come in accesso, per
effettuare la scansione e bloccare il download di dati malevoli.Come in accesso,
impostazione predefinita, consente la scansione dei download solo quando è abilitata
la scansione in accesso.
c) A seconda delle proprie necessità, autorizzare i siti web consentiti.
d) Controllare che la verifica della reputazione dei file sia abilitata.
Nota: È inoltre possibile utilizzare il criterio di controllo web per controllare l'utilizzo di
Internet grazie all'opzione di filtro dei siti web inclusi nelle 14 categorie di siti web
inappropriati. Per informazioni su come impostare un criterio di controllo web, consultare
la sezione Impostazione dei criteri per il controllo web a pagina 28.
Per ulteriori informazioni su come impostare i criteri di controllo antivirus e HIPS, consultare
la Sophos Enterprise Console di Guida in linea.
10